Comparaison entre la continuité des activités et la gestion de crise

Un arrêt de production provoqué par un incendie, une attaque par ransomware qui paralyse les systèmes centraux ou l’indisponibilité soudaine d’un fournisseur stratégique posent une question concrète à la direction de l’entreprise : comment maintenir l’organisation opérationnelle et qui prend les décisions lorsque la pression monte ? La distinction entre continuité d’activité et gestion de crise n’est pas d’ordre terminologique. Elle définit les responsabilités, les priorités, les délais d’intervention et la qualité de la réponse.

Dans les organisations matures, la continuité des activités et la gestion de crise sont des disciplines coordonnées, mais qui ne se recoupent pas. Les confondre conduit à des plans difficiles à mettre en œuvre, à des procédures d’escalade incertaines et à un risque fréquent : se concentrer sur la communication relative à la situation d’urgence sans rétablir les processus critiques, ou bien travailler au rétablissement technique sans garantir un accompagnement décisionnel adéquat.

Continuité d’activité et gestion de crise : la différence fondamentale

La continuité d’activité désigne la capacité d’une organisation à maintenir ou à rétablir la fourniture de ses produits, services et processus prioritaires à des niveaux et dans des délais acceptables après une perturbation. Elle repose sur un programme structuré: analyse d’impact sur l’activité, évaluation des risques, stratégies de continuité, plans opérationnels, exercices de simulation et amélioration continue.

La gestion de crise, quant à elle, concerne la gestion de l’événement critique. Elle coordonne les décisions, les personnes, les informations, les parties prenantes et la communication dans un contexte d’incertitude. Son objectif n’est pas seulement de limiter l’impact immédiat, mais également de préserver la capacité de gouvernance, la sécurité des personnes, la réputation, la conformité et la confiance des interlocuteurs concernés.

La continuité des activités répond à la question suivante : « Comment continuer à fournir l’essentiel ? ». La gestion de crise répond à une question différente : « Comment gérer l’événement, ses conséquences et les décisions qu’il implique ? ». Lors d’une crise majeure, ces deux approches doivent être menées en parallèle.

Deux horizons opérationnels, une gouvernance unique

La différence apparaît clairement lorsque l’on examine l’horizon temporel. La gestion de crise intervient au moment où l’événement atteint son paroxysme, lorsqu’il est nécessaire de mettre en place une structure de commandement, de vérifier les faits, de protéger les personnes et de définir la position de l’entreprise vis-à-vis des autorités, des clients, des médias, des assureurs et des partenaires. Les décisions peuvent évoluer d’heure en heure et nécessitent un état des lieux actualisé, des rôles clairement définis et des critères d’escalade partagés.

La continuité d’activité porte sur le maintien et la reprise des processus. Elle repose sur la compréhension des dépendances opérationnelles : personnes clés, sites, installations, technologies, données, fournisseurs, logistique, autorisations et flux financiers. Elle traduit cette analyse en mesures concrètes, telles que des sites de secours, des modes de travail en mode dégradé, des redondances, des stocks, des procédures manuelles et des accords avec des tiers.

Cela ne signifie pas que la gestion de crise se limite aux premières heures ni que la continuité des activités ne commence qu’ensuite. Un incident cyber, par exemple, peut nécessiter la mobilisation d’une équipe de crise pendant plusieurs semaines, tandis que les plans de continuité peuvent être activés dès les premières minutes afin de garantir la mise en place de processus alternatifs. Cette distinction est fonctionnelle, et non chronologique.

Responsabilité et décisions

En matière de gestion de crise, la responsabilité incombe généralement à l’équipe de gestion de crise, avec la participation de la direction, ainsi que des services juridiques, de la communication, de la sécurité, des ressources humaines, de l’informatique et des opérations. Cette équipe doit être en mesure de prendre rapidement des décisions concernant la remontée d’informations, les priorités en matière de protection, les communications, les échanges avec les parties prenantes externes et l’affectation des ressources.

En matière de continuité d’activité, la coordination est assurée par le responsable du programme et les responsables de processus. Ce sont ces derniers qui définissent ce qui est critique, la durée pendant laquelle un processus peut rester indisponible et les ressources permettant de le faire fonctionner selon un mode alternatif. Les services informatiques, les installations, les achats et les opérations jouent un rôle décisif dans la faisabilité des stratégies prévues.

Le point de convergence réside dans la gouvernance. En l’absence d’une matrice claire des délégations de pouvoirs, l’équipe de crise risque de prendre des décisions opérationnelles sans connaître les interdépendances entre les processus. À l’inverse, les équipes de relance peuvent travailler sur des priorités qui ne sont plus en adéquation avec le contexte stratégique, réglementaire ou de réputation de la crise.

Des indicateurs différents, des disciplines complémentaires

La continuité d’activité s’appuie sur des indicateurs qui permettent de rendre les attentes vérifiables. Parmi les plus importants figurent la durée maximale tolérable d’interruption (Maximum Tolerable Period of Disruption), l’objectif de temps de reprise (Recovery Time Objective) et l’objectif de point de reprise (Recovery Point Objective) pour les données et les systèmes. Ces paramètres ne sont pas des valeurs techniques isolées : ils doivent découler de l’impact qu’une interruption d’activité génère sur le chiffre d’affaires, les obligations contractuelles, la sécurité, la conformité et la chaîne d’approvisionnement.

La gestion de crise évalue avant tout la qualité de la gestion de l’événement : rapidité de mobilisation, fiabilité du flux d’informations, efficacité de la remontée hiérarchique, cohérence des communications, traçabilité des décisions et gestion des parties prenantes. Ces éléments ne se prêtent pas toujours à un seuil chiffré unique, mais doivent être vérifiés au moyen d’exercices réalistes et d’analyses a posteriori.

Quand faut-il recourir à la gestion de crise et quand à la continuité des activités ?

Un incident localisé peut ne nécessiter que la mise en œuvre du plan de continuité des activités. Si une panne rend un entrepôt secondaire indisponible, l’entreprise peut réaffecter les flux, mobiliser des capacités alternatives et respecter ses engagements de livraison sans que cela n’entraîne de crise au niveau de la direction. La situation reste importante, mais gérable dans le cadre des délégations opérationnelles habituelles.

Le seuil change lorsque l’événement dépasse la capacité de gestion habituelle ou met en jeu des intérêts multiples. Un accident grave, un incendie de grande ampleur, une violation de données à caractère personnel, une panne prolongée des systèmes ERP ou une contamination de produit peuvent nécessiter une gestion de crise avant même que les répercussions sur la continuité des activités aient été pleinement évaluées.

Dans d’autres cas, la mobilisation doit être conjointe. Une attaque par ransomware visant un groupe industriel nécessite l’intervention de l’équipe de gestion de crise pour les décisions en matière de sécurité, les notifications, les relations avec les autorités et la communication avec les clients. Parallèlement, la continuité des activités doit permettre aux unités opérationnelles de gérer les commandes, la planification, les expéditions et le service après-vente à l’aide de solutions temporaires contrôlées.

Le risque lié à des plans distincts

De nombreuses organisations disposent d’un plan de crise et de plans de continuité officiellement approuvés, mais elles les ont élaborés séparément. Cette situation peut sembler bien organisée jusqu’au premier test sérieux. Lors d’un exercice, on constate souvent des incohérences terminologiques, des listes de contacts non harmonisées, des seuils d’activation divergents et l’absence d’un cadre commun définissant les priorités.

Le problème ne se résout pas en accumulant des documents. Il faut une architecture de préparation qui relie l’analyse d’impact sur l’activité aux protocoles d’escalade, les stratégies de reprise aux décisions de l’équipe de crise et les procédures de communication à l’état réel des opérations. La gestion des tiers doit également s’inscrire dans cette approche : les fournisseurs critiques, les prestataires informatiques, les opérateurs logistiques et les partenaires de la chaîne d’approvisionnement peuvent constituer le maillon faible d’un plan apparemment complet.

Une structure efficace doit comporter au moins quatre éléments distincts mais complémentaires :

• critères de classification de l’événement et seuils de déclenchement communs ;
• rôles, délégations de pouvoirs et remplacements formalisés pour l’équipe de crise et l’équipe de reprise ;
• des objectifs de reprise d’activité fondés sur une analyse d’impact sur l’activité actualisée ;
• des exercices permettant de tester simultanément la prise de décision au niveau de la direction, la communication et la continuité des processus.

Tests : du document à la compétence démontrable

Le test permet de mesurer l’écart entre la conformité formelle et la capacité opérationnelle. Un simple examen des documents permet de vérifier que le plan existe bel et bien. Il ne prouve toutefois pas que les responsables sachent l’utiliser en situation de crise, que les numéros d’astreinte soient efficaces ou qu’une procédure de secours fonctionne avec des données incomplètes et un effectif réduit.

Les exercices sur table permettent d’évaluer la gouvernance, la remontée des problèmes et la qualité de la prise de décision. Les tests techniques, quant à eux, vérifient les sauvegardes, la restauration, le basculement et la disponibilité des infrastructures. Les simulations de bout en bout, plus exigeantes mais plus représentatives, relient ces deux niveaux : l’équipe de crise gère le scénario tandis que les services opérationnels mettent en œuvre les mesures de continuité prévues.

La conception du scénario doit être adaptée au profil de risque. Pour une entreprise manufacturière, la priorité peut être de simuler l’indisponibilité d’une installation, d’un service public essentiel ou d’un nœud logistique. Pour une organisation soumise à une réglementation, l’accent peut être mis sur l’interruption des services numériques, la perte de données ou la réponse à un incident cybernétique assorti d’obligations de notification. L’intérêt du test n’est pas de mettre les participants en difficulté, mais d’identifier les décisions, les dépendances et les hypothèses qui ne résisteraient pas à un événement réel.

Élaborer un programme intégré

Un programme efficace ne repose pas sur un modèle de plan, mais sur la gouvernance et le contexte opérationnel. Il convient d’identifier les objectifs de résilience approuvés par la direction, de cartographier les processus prioritaires, de définir les interdépendances et de déterminer quel niveau d’indisponibilité est acceptable. Ce n’est qu’à ce moment-là qu’il est possible de concevoir des stratégies viables sur les plans économique, technique et organisationnel.

Le compromis est inévitable. Une redondance accrue, des capacités de secours et la disponibilité des ressources réduisent l’exposition aux temps d’arrêt, mais augmentent les coûts et la complexité. Une stratégie proportionnée ne vise pas à éliminer tout risque : elle concentre les investissements et les contrôles là où une interruption aurait des conséquences inacceptables pour l’entreprise et ses parties prenantes.

Une formation spécialisée, des évaluations indépendantes et des exercices structurés permettent de transformer ce dispositif en une compétence généralisée. Pour les entreprises industrielles, les grandes sociétés et les compagnies d’assurance, l’approche doit allier des normes reconnues, des données vérifiables et une connaissance concrète des vulnérabilités des sites, des processus et de la chaîne d’approvisionnement.

La question pertinente n’est donc pas de choisir entre la continuité des activités et la gestion de crise. Il s’agit de vérifier si, lorsque l’événement se produit, l’organisation est capable de prendre des décisions avec autorité et de poursuivre ses activités en se conformant à des priorités réellement partagées.

This post is also available in: